RADIUS 是什么
RADIUS 是企业无线认证的后端服务，负责认证、授权与计费三件事。AP 或 AC 作为客户端（NAS）把终端提交的 EAP 报文封装进 RADIUS 请求转发给服务器，服务器校验凭据后返回接受或拒绝，并可通过属性下发 VLAN、ACL 等策略。标准端口是 UDP 1812（认证）与 1813（计费），早期的 1645、1646 仍偶有设备在使用。NAS 与服务器之间靠共享密钥保护报文，两端配置必须完全一致。
基本信息
| 认证端口 | UDP 1812（旧标准 1645） |
|---|---|
| 计费端口 | UDP 1813（旧标准 1646） |
| 共享密钥 | NAS 与 RADIUS 双方配置一致 |
| NAS | AP、AC 或接入交换机 |
| 常用后端 | 目录服务、数据库或本地账号库 |
| 加密范围 | 仅密码字段加密，其余属性明文 |
常见故障对照
| 现象 | 常见原因 |
|---|---|
| 全部用户认证超时 | UDP 端口未放行、服务器不可达或共享密钥不匹配 |
| 认证被拒但口令正确 | 授权策略、账号状态或时间同步问题 |
| 只有个别用户失败 | 账号锁定、证书过期或该终端不支持对应 EAP 方式 |
| 计费记录缺失 | 1813 端口未放行或计费未启用 |
| 部分 AP 正常部分异常 | 该 AP 的 NAS 标识或共享密钥配置与其他不一致 |
连通性检查
连通性检查
# 在 NAS 侧确认能到达 RADIUS 的 1812/1813（UDP）
# 日志中确认 Request、Accept 与 Reject 记录
# 排查顺序：网络可达 -> 端口放行 -> 共享密钥 -> 账号与策略
# 注意：RADIUS 走 UDP，用 TCP 探测会误判为不可达典型使用场景
- 企业员工认证：域账号统一登录并记录审计日志
- 访客认证：与员工网络共用后端但走独立策略
- 设备入网：打印机与摄像头用证书自动认证
- 动线下发：按用户身份分配不同 VLAN 与访问权限
- 漫游支持：跨 AP、跨厂商设备共享同一后端
部署时的几个要点
第一，服务器要做高可用。单台 RADIUS 故障意味着全网无法接入，通常采用主备或集群并配置多台 NAS 顺序尝试。第二，时间要同步。证书校验与日志关联都依赖准确时间，服务器与 NAS 的时钟偏差会带来难以定位的失败。第三，共享密钥要复杂且避免特殊字符歧义，含特殊符号时务必确认两端转义一致。第四，跨不可信网络应启用 RadSec，即用 TLS 封装 RADIUS，避免报文被监听或篡改。
RADIUS 报文本身只加密密码字段；跨不可信网络建议用 RadSec（RADIUS over TLS）。
多台 NAS 指向同一服务器时，建议为每台设备单独配置共享密钥，便于故障隔离与审计。